La Gaceta del Centinela
En tiempos de sobreinformación: referencias verificables y contraste adicional cuando exista más de una fuente fiable.
Contenido orientativo con fuentes oficiales y referencias contrastables. No sustituye asesoramiento jurídico ni técnico especializado.
Una brecha de seguridad no es solo un hackeo. Un portátil perdido con datos de clientes, un email enviado por error a la persona equivocada, un empleado que descarga datos sin permiso: todos son brechas. El RGPD da 72 horas para actuar.
Puntos clave
La obligación existe cuando la brecha 'puede entrañar un riesgo para los derechos y libertades de las personas físicas'. No es automática ante cualquier incidente. Hay que valorar: ¿qué datos? (los de salud o económicos tienen más riesgo que un email), ¿cuántas personas? (más afectados = más riesgo), ¿puede usarlos un tercero para causar daño? (robo de contraseñas sí, error interno sin acceso externo quizás no). Si el riesgo es 'improbable', no hay obligación de notificar a la AEPD, pero sí de documentar la valoración.
Hora 0-6: Confirmar el incidente, identificar el alcance inicial, contener (cambiar contraseñas, aislar sistemas). Hora 6-24: Evaluar qué datos se han visto afectados y cuántas personas. Decidir si hay obligación de notificar. Hora 24-72: Si hay obligación, presentar la notificación inicial en la Sede Electrónica de la AEPD con la información disponible. Es válido indicar que la investigación continúa y completar después.
La notificación se hace en la Sede Electrónica de la AEPD (sede.aepd.gob.es → 'Notificación de brechas'). La información mínima: descripción de qué ocurrió, categorías y número aproximado de personas afectadas, consecuencias probables, medidas adoptadas o propuestas. Si no tienes toda la información, deja claro que es una notificación inicial y que la completarás. Es mejor notificar con información incompleta que no notificar.
Si el riesgo para los interesados es ALTO (pueden sufrir discriminación, robo de identidad, pérdida económica, daño reputacional…), hay que comunicárselo también a ellos, de forma clara y sin tecnicismos. El mensaje debe explicar qué pasó, qué datos se vieron afectados, qué hace la empresa para remediarlo y qué pueden hacer ellos para protegerse.
Próximos pasos recomendados
¿Tienes dudas concretas sobre este tema?
Pregúntale directamente a Centinela AI con tu contexto específico. Responde en segundos con fuentes citadas.
Probar gratis, sin tarjetaFuentes y referencias
También en RGPDAplicado
Un cliente te pide que borres sus datos: qué haces, qué no puedes borrar y cómo responder
5 min
Envías newsletter a tus clientes: ¿necesitas consentimiento? La respuesta depende de cuándo se hicieron clientes
5 min
Cámaras de seguridad en tu local o empresa: qué permite el RGPD y qué está terminantemente prohibido
5 min